4.0 KiB
title, description, weight
| title | description | weight |
|---|---|---|
| Операции управления уровнями (Tiers) | Классификация хранилища, символические ссылки и изоляция привилегий. | 55 |
Операции управления уровнями отвечают за соблюдение Модели многоуровневого хранения и обеспечение корректного владения файловой системой и изоляции.
Основные операции с уровнями (Tier Actions)
| Операция | Описание |
|---|---|
tiers/chown |
Устанавливает корректного владельца файловой системы для Пользователей проекта. |
tiers/link |
Управляет символическими ссылками между директориями проекта и их соответствующими Уровнями (Tiers). |
tiers/useradd |
Создает уникального системного пользователя для каждого проекта для обеспечения Изоляции привилегий. |
Управление пользователями (tiers/useradd)
Действие tiers/useradd создает выделенного низкопривилегированного системного пользователя для каждого проекта внутри узла. Этот пользователь затем используется для запуска контейнеров проекта, гарантируя, что компрометация одного проекта не даст злоумышленнику доступ ко всему хосту.
- Соглашение об именовании: Пользователи обычно называются в честь проекта.
- Членство в группах: Пользователи могут быть опционально добавлены в группу
dockerили взаимодействовать с Docker другими безопасно настроенными способами по выбору оператора.
Привязка хранилища (tiers/link)
Действие tiers/link создает структуру символических ссылок, необходимую для модели многоуровневого хранения. Оно гарантирует, что директории config, data и logs внутри папки проекта указывают на их физическое местоположение в @tier1, @tier2 и @tier3 соответственно.
# Пример структуры ссылок, созданной tiers/link
/srv/root/icarus/synapse/config -> /srv/storage/@tier1/synapse
/srv/root/icarus/synapse/data -> /srv/storage/@tier2/synapse
/srv/root/icarus/synapse/logs -> /srv/storage/@tier3/synapse
Управление владельцами (tiers/chown)
После того как уровни и ссылки созданы, действие tiers/chown гарантирует, что физические директории на каждом уровне принадлежат правильному пользователю проекта. Это критически важно для предотвращения ошибок доступа и гарантии того, что проекты могут обращаться только к своим собственным данным.
See also: